(57)【要約】【課題】  個人情報を適切に管理する。【解決手段】  記憶装置２０に格納された個人情報の利用を制限する個人情報管理システム３０であって、個人情報の利用者が個人情報を利用してもよい予め定められた利用可能期間について、当該利用可能期間を規定した情報であるプライバシーポリシーを、個人情報毎に管理する管理手段３００と、プライバシーポリシーの管理者が復号でき、かつ個人情報の利用者が復号できない暗号の暗号鍵を取得する鍵取得手段３１０と、プライバシーポリシーにより規定された利用可能期間が経過する場合に、鍵取得手段により取得された暗号鍵で、利用者が利用できないように個人情報を暗号化する暗号化手段３２０とを備える個人情報管理システム３０を提供する。【選択図】図１
2005135131.tif 000002
【特許請求の範囲】
【請求項１】
記憶装置に格納された個人情報の利用を制限する個人情報管理システムであって、
前記個人情報の利用者が前記個人情報を利用してもよい予め定められた利用可能期間について、当該利用可能期間を規定した情報であるプライバシーポリシーを、個人情報毎に管理する管理手段と、
前記プライバシーポリシーの管理者が復号でき、かつ前記個人情報の利用者が復号できない暗号の暗号鍵を取得する鍵取得手段と、
前記プライバシーポリシーにより規定された利用可能期間が経過する場合に、前記鍵取得手段により取得された前記暗号鍵で、前記利用者が利用できないように前記個人情報を暗号化する暗号化手段と
を備える個人情報管理システム。
【請求項２】
前記管理手段は、前記プライバシーポリシーを、前記個人情報に対応付けて前記記憶装置に格納することにより管理し、
前記暗号化手段は、前記プライバシーポリシーにより規定された利用可能期間が経過する場合に、前記暗号鍵により、更に前記プライバシーポリシーを暗号化し、暗号化した当該プライバシーポリシーに対応する前記個人情報の一部を削除する
請求項１記載の個人情報管理システム。
【請求項３】
前記鍵取得手段は、前記管理者が秘密鍵を管理し、かつ前記利用者が前記秘密鍵を管理していない、公開鍵暗号系の公開鍵を前記暗号鍵として取得し、
前記暗号化手段は、前記公開鍵により前記個人情報を暗号化する
請求項１記載の個人情報管理システム。
【請求項４】
前記鍵取得手段は、暗号化するべき個人情報毎に異なる公開鍵を取得し、
前記暗号化手段は、前記個人情報を、前記個人情報毎に異なる前記公開鍵で暗号化する
請求項３記載の個人情報管理システム。
【請求項５】
前記管理者からの指示を受けて前記個人情報を復号する復号手段を更に備え、
前記鍵取得手段は、復号した当該個人情報を再度暗号化すべき指示を前記管理者から受けた場合に、前記復号手段により復号された暗号の公開鍵とは異なる公開鍵を取得し、
前記暗号化手段は、前記鍵取得手段により取得された前記公開鍵により、当該個人情報を再度暗号化する
請求項３記載の個人情報管理システム。
【請求項６】
前記管理者が復号鍵を管理しかつ前記利用者が復号鍵を管理していない暗号における暗号鍵を、前記個人情報により特定される個人を識別する個人識別情報に基づいて生成する鍵生成手段を更に備え、
前記鍵取得手段は、前記鍵生成手段により生成された前記暗号鍵を取得し、
前記暗号化手段は、前記個人識別情報に基づく前記暗号鍵で、ＩＤに基づく暗号(IBE: Identity-based Encryption)により前記個人情報を暗号化する
請求項１記載の個人情報管理システム。
【請求項７】
一の個人情報が不正に利用されているか否か照会する指示を、当該一の個人情報と共に受け付ける照会対象入力手段と、
記憶装置に暗号化されて格納されている個人情報を、前記管理者からの指示を受けて復号し、前記照会対象入力手段により入力された個人情報と比較して、比較結果を出力する復号手段と
を更に備える請求項１記載の個人情報管理システム。
【請求項８】
前記暗号化手段は、前記個人情報を暗号化した場合に、更に、前記個人情報を暗号化した旨を、暗号化した当該個人情報により特定される個人の端末に対して出力する請求項１記載の個人情報管理システム。
【請求項９】
記憶装置に格納された個人情報の利用を制限する個人情報管理システムと、前記記憶装置に格納された前記個人情報を利用する利用者の利用者端末とを備えた情報処理システムであって、
前記個人情報管理システムは、
前記個人情報の利用者が前記個人情報を利用してもよい予め定められた利用可能期間について、当該利用可能期間を規定した情報であるプライバシーポリシーを、個人情報毎に管理する管理手段と、
前記プライバシーポリシーの管理者が復号でき、かつ前記個人情報の利用者が復号できない暗号の暗号鍵を取得する鍵取得手段と、
前記プライバシーポリシーにより規定された利用可能期間が経過する場合に、前記鍵取得手段により取得された前記暗号鍵で、前記利用者が利用できないように前記個人情報を暗号化する暗号化手段と
を有し、
前記利用者端末は、前記プライバシーポリシーにより規定される利用可能期間内に、前記利用者の指示に基づいて、前記個人情報を読み出して利用する
情報処理システム。
【請求項１０】
前記記憶装置は、複数の個人情報を格納し、
前記利用者端末は、前記複数の個人情報のうち、前記暗号化手段により暗号化されていない複数の個人情報を前記記憶装置から読み出して、当該複数の個人情報の統計データを生成することにより、個人情報を利用する
請求項９記載の情報処理システム。
【請求項１１】
前記個人情報は、電子メールアドレスを含み、
前記利用者端末は、前記暗号化手段により暗号化されていない個人情報を前記記憶装置から読み出して、当該個人情報に含まれる前記電子メールアドレスに対して広告用電子メールを送信することにより、個人情報を利用する
請求項９記載の情報処理システム。
【請求項１２】
コンピュータの記憶装置に格納された個人情報の利用を制限する個人情報管理方法であって、
前記コンピュータが、前記個人情報の利用者が前記個人情報を利用してもよい予め定められた利用可能期間について、当該利用可能期間を規定した情報であるプライバシーポリシーを、個人情報毎に管理する管理段階と、
前記コンピュータが、前記プライバシーポリシーの管理者が復号でき、かつ前記個人情報の利用者が復号できない暗号の暗号鍵を取得する鍵取得段階と、
前記コンピュータが、前記プライバシーポリシーにより規定された利用可能期間が経過する場合に、前記鍵取得段階において取得された前記暗号鍵で、前記利用者が利用できないように前記個人情報を暗号化する暗号化段階と
を備える個人情報管理方法。
【請求項１３】
コンピュータを、記憶装置に格納された個人情報の利用を制限する個人情報管理システムとして機能させるプログラムであって、
前記コンピュータを、
前記個人情報の利用者が前記個人情報を利用してもよい予め定められた利用可能期間について、当該利用可能期間を規定した情報であるプライバシーポリシーを、個人情報毎に管理する管理手段と、
前記プライバシーポリシーの管理者が復号でき、かつ前記個人情報の利用者が復号できない暗号の暗号鍵を取得する鍵取得手段と、
前記プライバシーポリシーにより規定された利用可能期間が経過する場合に、前記鍵取得手段により取得された前記暗号鍵で、前記利用者が利用できないように前記個人情報を暗号化する暗号化手段と
して機能させるプログラム。
【請求項１４】
請求項１３に記載のプログラムを記録した記録媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、個人情報管理システム、情報処理システム、個人情報管理方法、プログラム、及び記録媒体に関する。特に、本発明は、個人情報を所定の規則に順じて取り扱う個人情報管理システム、情報処理システム、個人情報管理方法、プログラム、及び記録媒体に関する。
【背景技術】
【０００２】
近年、顧客から個人情報を収集してマーケティングなどの目的で利用する企業が増えている。これに伴い、世界各国では、個人情報を保護する法律などが制定され、企業が顧客の個人情報を適切に管理するための技術への関心が高まってきている。
【０００３】
例えば、企業が顧客の個人情報を何らかのプライバシーポリシーに従って取り扱った結果、その個人情報を消去しなければならない場合がある。一例として、COPPA(Children's Online Privacy and Protection Act)のプライバシーポリシーによると、１３歳以下の子供のメールアドレスは、親の同意がない限り、９０日以内に消去しなければならない。
【０００４】
具体的には、企業は、個人情報をプライバシーポリシーに対応付けて管理しており、プライバシーポリシーにより規定される条件が成立した場合には、その個人情報を消去する等の処理を行う。上記の例では、プライバシーポリシーには親の同意の有無が含まれており、企業は、そのプライバシーポリシーの内容に基づいて、１３歳以下の子供の個人情報を消去すべきか判断する。
【０００５】
プライバシーポリシーを記述する方法として、非特許文献１及び非特許文献２参照。
【０００６】
また、近年、通信内容を送受信者のみの秘密状態に保つ技術として、秘密鍵暗号及び公開鍵暗号等の暗号技術が発達してきている。従来、公開鍵暗号の一種として、ＩＤに基づく暗号(IBE: Identity-based Encryption)が用いられている（非特許文献３、４参照。）。IBEによると、名前や電子メールアドレス等のデータそのものを公開鍵として用いることができるので、公開鍵の使用者は、受信者の公開鍵を取得する処理を簡略化できて、効率がよい。
【０００７】
【非特許文献１】W3C Recommendation, The Platform for Privacy Preferences 1.0 (P3P1.0) Specification, 16 April 2002.
【非特許文献２】IBM Research Report, Enterprise Privacy Authorization Language (EPAL) http://www.zurich.ibm.com/security/enterprise-privacy/epal/Specification/index.html
【非特許文献３】A. Shamir, "Identity-based cryptosystems and signature schemes", CRYPTO'84, pp. 47-53, 1984.
【非特許文献４】D. Boneh and M. Franklin, "Identity based encryption from the Weil pairing", SIAM J. of Computing, Vol. 32, No. 3, pp. 586-615, 2003.
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかしながら、企業は、個人情報を実際に消去してしまうと、消去後に顧客から「自己の個人情報が不適切に扱われていた」等の苦情を受けた場合に、個人情報が実際にどのように扱われていたのかを検証する手段を失ってしまう。
【０００９】
例えば、プライバシーポリシーが、以下のように規定されていたとする。
１． 顧客のメールアドレスは、９０日後に消去する
２． 顧客の同意があれば、９０日以内に限って、そのメールアドレス宛てに、広告メールを送信してもよい
個人情報は、顧客のメールアドレス及び顧客の同意の有無などの情報を含んでいる。そして、顧客が広告メールの送信に同意している場合に、企業は、９０日の間に何通か広告メールを送付し、その後、その個人データを消去したと仮定する。その消去後、企業は、顧客から「広告メールが送付されてきた」という苦情を受けても、個人情報はすでに消去されてしまっているので、企業側では、何も検証できなくなってしまう。
【００１０】
そこで本発明は、上記の課題を解決することのできる個人情報管理システム、情報処理システム、個人情報管理方法、プログラム、及び記録媒体を提供することを目的とする。この目的は特許請求の範囲における独立項に記載の特徴の組み合わせにより達成される。また従属項は本発明の更なる有利な具体例を規定する。
【課題を解決するための手段】
【００１１】
上記課題を解決するために、本発明の第１の形態においては、記憶装置に格納された個人情報の利用を制限する個人情報管理システムであって、個人情報の利用者が個人情報を利用してもよい予め定められた利用可能期間について、当該利用可能期間を規定した情報であるプライバシーポリシーを、個人情報毎に管理する管理手段と、プライバシーポリシーの管理者が復号でき、かつ個人情報の利用者が復号できない暗号の暗号鍵を取得する鍵取得手段と、プライバシーポリシーにより規定された利用可能期間が経過する場合に、鍵取得手段により取得された暗号鍵で、利用者が利用できないように個人情報を暗号化する暗号化手段とを備える個人情報管理システム、当該個人情報管理システムとしてコンピュータを機能させるプログラム、プログラムを記録した記録媒体、個人情報管理システムを用いた個人情報管理方法、及び当該個人情報管理システムを有する情報処理システムを提供する。
なお、上記の発明の概要は、本発明の必要な特徴の全てを列挙したものではなく、これらの特徴群のサブコンビネーションもまた、発明となりうる。
【発明の効果】
【００１２】
本発明によれば、個人情報を適切に管理することができる。
【発明を実施するための最良の形態】
【００１３】
以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではなく、また実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
【００１４】
図１は、情報処理システム１０のブロック図を示す。情報処理システム１０は、ＷＷＷ（ワールド・ワイド・ウェブ）システムを用いてマーケティングを行う企業等であるデータ管理者により管理されており、個人等から収集した個人情報を適切に管理することを目的とする。
【００１５】
情報処理システム１０は、記憶装置２０と、個人情報管理システム３０と、利用者端末４０−１〜Ｎとを有する。記憶装置２０は、個人情報を格納する。個人情報管理システム３０は、データ管理者の組織内で、プライバシーポリシーが適切に遵守されているかを管理するプライバシーポリシー管理者により管理されている。そして、個人情報管理システム３０は、プライバシーポリシーに従って、記憶装置２０に格納された個人情報の利用を制限する。
【００１６】
利用者端末４０−１〜Ｎのそれぞれは、データ管理者の組織内において、個人情報を利用する個人情報利用者により管理されている。そして、利用者端末４０−１〜Ｎのそれぞれは、個人に管理された個人端末５０から、個人情報を受け取って、受け取った個人情報を記憶装置２０に格納する。また、利用者端末４０−１〜Ｎのそれぞれは、個人情報利用者の指示に基づいて、個人情報を記憶装置２０から読み出して利用する。鍵発行機関サーバ６０は、情報処理システム１０を管理するデータ管理者及び個人端末５０を管理する個人の双方に信頼された第３者機関により管理されており、情報処理システム１０からの指示に基づいて、暗号鍵を発行する処理を行う。
【００１７】
個人情報管理システム３０は、管理手段３００と、鍵取得手段３１０と、暗号化手段３２０と、照会対象入力手段３４０と、復号手段３５０とを有する。管理手段３００は、個人情報利用者が個人情報を利用してもよい予め定められた利用可能期間について、その利用可能期間を規定した情報であるプライバシーポリシーを、個人情報毎に管理する。例えば、管理手段３００は、このプライバシーポリシーを、個人情報に対応付けて記憶装置２０に格納することにより管理する。更に、管理手段３００は、個人情報を暗号化した場合には、暗号化に用いた公開鍵暗号系の公開鍵を、暗号化された個人情報に更に対応付けて管理してもよい。
【００１８】
ここで、個人情報は、例えば、個人情報により特定される個人を識別する個人識別情報と、個人情報により特定される個人の氏名と、個人情報により特定される個人の電子メールアドレスとを含んでいる。これに加えて、個人情報は、個人の生年月日、年齢、住所、電話番号、及びその個人に対して行ったアンケートの結果等を含んでいてもよい。また、個人情報は、個人の属性を示すこれらの情報の他に、個人情報がマーケティング等の目的で使用されることにその個人が同意しているか否かを示す情報を含んでいてもよい。
【００１９】
また、プライバシーポリシーとは、個人情報利用者が個人情報を利用してもよい利用可能期間を規定するのみならず、更に他の事項を規定してもよい。例えば、プライバシーポリシーは、個人情報の利用が許可された用途・目的を規定してもよい。
【００２０】
鍵取得手段３１０は、プライバシーポリシー管理者が復号でき、かつ個人情報利用者が復号できない暗号の暗号鍵を、鍵発行機関サーバ６０から取得し、暗号化手段３２０に送る。例えば、鍵取得手段３１０は、プライバシーポリシー管理者が秘密鍵を管理し、かつ個人情報利用者はその秘密鍵を管理していない、公開鍵暗号系の公開鍵を鍵発行機関サーバ６０から取得する。
【００２１】
具体的には、鍵発行機関サーバ６０は、プライバシーポリシー管理者又は個人端末５０の管理者からの要求があれば、秘密鍵を開示して個人情報管理システム３０等に送信する。一方、鍵発行機関サーバ６０は、個人情報利用者からの要求によっては、秘密鍵を開示しない。このように、秘密鍵は、必要な場合にはプライバシーポリシー管理者に開示され得るように管理されている。そして、鍵取得手段３１０は、プライバシーポリシー管理者からの指示に基づいて、この公開鍵に対応する秘密鍵を鍵発行機関サーバ６０から取得して復号手段３５０に送ってもよい。
【００２２】
暗号化手段３２０は、プライバシーポリシーにより規定された利用可能期間が経過する場合に、鍵取得手段３１０により取得された暗号鍵、例えば公開鍵暗号系の公開鍵で、個人情報利用者が利用できないように、記憶装置２０に格納された個人情報を暗号化する。例えば、暗号化手段３２０は、個人情報を管理手段３００により読み出させて、読み出させたその個人情報を暗号化し、暗号化したその個人情報を管理手段３００により記憶装置２０に格納させてもよい。そして、暗号化手段３２０は、個人情報を暗号化した場合に、更に、個人情報を暗号化した旨を個人端末５０に対して出力する。
【００２３】
照会対象入力手段３４０は、ある一つの個人情報が不正に利用されているか否かを照会する照会指示を、その個人情報と共に受け付ける。そして、復号手段３５０は、プライバシーポリシー管理者からの指示を受けたことを条件として、記憶装置２０に暗号化されて格納されている個人情報を復号するための秘密鍵を、鍵取得手段３１０から受け取る。続いて、復号手段３５０は、暗号化された個人情報を管理手段３００により読み出させて、読み出させたその個人情報を秘密鍵で復号する。そして、復号手段３５０は、復号したその個人情報と、照会対象入力手段３４０により入力された個人情報と比較して、比較結果を個人端末５０に出力する。
【００２４】
以上、本図で示すように、個人情報管理システム３０は、記憶装置２０に格納された個人情報について、個人情報を利用してもよい利用可能期間が経過する場合に、個人情報を消去するのに代えて、個人情報利用者がその個人情報を利用できないように暗号化する。これにより、個人情報をその利用可能期間にのみ利用させることができると共に、利用可能期間経過後であっても、個人情報に関する照会に対して適切に対処させることができる。
【００２５】
また、個人情報管理システム３０は、公開鍵暗号系の暗号鍵により個人情報を暗号化するので、共通鍵暗号を用いる場合と異なり、個人情報を復号するための復号鍵を有していない。これにより、情報処理システム１０を管理するデータ管理者が、プライバシーポリシーに反して個人情報を不正に利用することを防ぐことができる。
【００２６】
図２は、利用者端末４０−１が個人情報を利用する処理の一例を示す。利用者端末４０−２〜Ｎは、利用者端末４０−１と略同一の処理を行うので、以降の説明を省略する。利用者端末４０−１は、個人情報利用者からの指示に基づいて、記憶装置２０に格納された複数の個人情報のうち、暗号化手段３２０により暗号化されていない複数の個人情報を選択して記憶装置２０から読み出す（Ｓ２００）。そして、利用者端末４０−１は、読み出した個人情報から、個人の電子メールアドレスを取り出す（Ｓ２１０）。
【００２７】
そして、利用者端末４０−１は、取り出した電子メールアドレスに対して広告用電子メールを送信することにより、読み出したその個人情報を利用する（Ｓ２２０）。また、利用者端末４０−１は、暗号化手段３２０により暗号化されていない複数の個人情報について、これらの個人情報の統計データを生成することにより、個人情報を利用してもよい（Ｓ２３０）。
【００２８】
なお、本図で示した例は、個人情報の利用の一例であり、これに代えて、利用者端末４０−１〜Ｎのそれぞれは、個人情報利用者の指示に基づいて個人情報を個人情報利用者に対して表示してもよいし、個人情報を示すデータを記憶装置２０から読み出して加工し、出力してもよい。
【００２９】
以上、本図で説明したように、利用者端末４０−１〜Ｎのそれぞれは、記憶装置２０に格納され暗号化されていない個人情報のみを、宣伝・マーケティング等の目的で利用する。一方、利用者端末４０−１〜Ｎのそれぞれは、暗号化されている個人情報を記憶装置２０から読み出して利用することができない。これにより、利用者端末４０−１〜Ｎのそれぞれは、プライバシーポリシーにより規定されている利用可能期間を当該利用者端末で管理することなく、プライバシーポリシーにより規定される利用可能期間内にのみ、個人情報を読み出して利用することができる。
【００３０】
図３は、個人情報管理システム３０が個人情報を暗号化する処理の動作フローを示す。個人情報管理システム３０は、以下に示す処理を、暗号化されずに記憶装置２０に格納されている複数の個人情報の各々について、定期的に行う。まず、暗号化手段３２０は、ある個人情報について、その個人情報のプライバシーポリシーにより規定された利用可能期間が経過したか否かを判断する（Ｓ３００）。経過していない場合には（Ｓ３００：ＮＯ）、処理を終了する。
【００３１】
一方、利用可能期間が経過した場合に、鍵取得手段３１０は、プライバシーポリシー管理者が復号でき、かつ個人情報利用者が復号できない暗号の暗号鍵、例えば公開鍵暗号系の公開鍵を鍵発行機関サーバ６０から取得する（Ｓ３１０）。具体的には、まず、鍵取得手段３１０は、鍵発行機関サーバ６０に指示することにより、公開鍵暗号系の公開鍵及び秘密鍵の組を１つ生成させる。そして、鍵取得手段３１０は、生成させた組のうち公開鍵のみを鍵発行機関サーバ６０から取得する。
【００３２】
鍵発行機関サーバ６０が公開鍵及び秘密鍵の組を生成する処理を、以下の式（１）で表す。本式において、pkは公開鍵を、skは秘密鍵を、KeyPairGenは、公開鍵及び秘密鍵の組を生成する関数を示す。
(pk, sk)=KeyPairGen( )  …式（１）
ここで、好ましくは、鍵発行機関サーバ６０は、暗号化すべき個人情報毎に異なる、公開鍵及び秘密鍵の組を生成する。そして、鍵発行機関サーバ６０は、鍵取得手段３１０が公開鍵を取得した後であっても、生成した公開鍵及び秘密鍵の組を鍵発行機関サーバ６０内に格納して保持しておく。
【００３３】
暗号化手段３２０は、鍵取得手段３１０により取得された公開鍵で、個人情報利用者が利用できないように、記憶装置２０に格納された個人情報を暗号化する（Ｓ３２０）。更に、暗号化手段３２０は、この公開鍵により、この個人情報に対応するプライバシーポリシーを暗号化する（Ｓ３３０）。暗号化手段３２０が個人情報及びプライバシーポリシーを暗号化する処理を、以下の式（２）で表す。本式において、cipherは暗号化された結果生じた暗号文を、dataは個人情報を、policyはプライバシーポリシーを、|は、データの結合を示す。そして、Encryptは暗号化処理の関数を示し、暗号化の対象であるdata|policyを、鍵取得手段３１０がＳ３１０において取得した公開鍵pkにより暗号化した結果、cipherを出力する。
cipher=Encrypt(pk, data|policy)  …式（２）
【００３４】
そして、暗号化手段３２０は、個人情報及びプライバシーポリシーに代えて、暗号化された結果生じた暗号文を記憶装置２０に格納する。この際、好ましくは、暗号化手段３２０は、暗号文に対応付けて、個人情報により特定される個人の個人識別情報と、暗号文の暗号化に用いた公開鍵とを更に記憶装置２０に格納する。例えば、図１の記憶装置２０中に示したように、暗号化手段３２０は、暗号文に対応付けて、個人識別情報であるＩＤ３と、公開鍵Ｃとを格納している。これにより、個人情報の具体的内容を利用できないようにしたまま、復号手段３５０による復号を適切に行わせることができる。
【００３５】
例えば、暗号化手段３２０が記憶装置２０に格納するデータは、以下の式（３）で表される。本式において、oid|did|mid|pidは、個人識別情報を示す。具体的には、oidは、個人識別情報により特定される個人を、didは、記憶装置２０が格納する複数の個人情報の中からこの個人情報を識別する情報を示す。また、midは、情報処理システム１０を管理するデータ管理者を識別する情報を、pidは、プライバシーポリシーを識別する情報をそれぞれ示す。
pk|oid|did|mid|pid|cipher  …式（３）
【００３６】
続いて、暗号化手段３２０は、暗号化した個人情報の一部を削除してもよい（Ｓ３４０）。例えば、暗号化手段３２０は、個人情報のうちその個人を特定する個人識別情報については、削除せずに格納したままにしておき、個人の電話番号等の情報を削除してもよい。
【００３７】
なお、Ｓ３４０及びＳ３３０の順序は、本図の例に限定されない。例えば、個人情報及びプライバシーポリシーを一体として暗号した場合、暗号の種類によっては、暗号化した暗号文の一部を削除すると適切に復号できない場合がある。このような場合には、暗号化手段３２０は、個人情報の一部を削除してから、削除しなかった残りの個人情報を暗号化することが望ましい。続いて、暗号化手段３２０は、個人情報を暗号化した場合に、更に、個人情報を暗号化した旨を、暗号化したその個人情報により特定される個人の端末である個人端末５０に対して出力する（Ｓ３５０）。
【００３８】
このように、個人情報管理システム３０は、プライバシーポリシーにより規定される利用可能期間が経過する場合に、個人情報利用者が個人情報を利用できないように個人情報を暗号化する。この際、鍵取得手段３１０は、暗号化すべき個人情報に応じて異なる公開鍵を鍵発行機関サーバ６０から取得し、暗号化手段３２０は、個人情報毎に異なる公開鍵によりその個人情報を暗号化する。この結果、暗号化した複数の個人情報の何れかを復号した場合であっても、復号に用いた復号鍵を他の個人情報に流用することができない。これにより、プライバシーポリシー管理者は、プライバシーポリシーをより適切に管理することができる。
【００３９】
図４は、個人情報管理システム３０が個人情報を復号する処理の動作フローを示す。個人情報管理システム３０は、以下に示す処理を、暗号化手段３２０により暗号化されて記憶装置２０に格納された複数の個人情報の各々について、例えば定期的に行う。照会対象入力手段３４０は、ある個人情報が不正に使用されているか否か照会する照会指示を、その個人情報と共に受け付けたか否かを判断する（Ｓ４００）。受け付けていない場合に（Ｓ４００：ＮＯ）、処理を終了する。
【００４０】
照会指示を受け付けた場合に（Ｓ４００：ＹＥＳ）、復号手段３５０は、プライバシーポリシー管理者から、その個人情報を復号することを許可する復号指示を受け付けたか否かを判断する（Ｓ４１０）。復号指示を受け付けた場合に（Ｓ４１０：ＹＥＳ）、鍵取得手段３１０は、公開鍵暗号系の秘密鍵を鍵発行機関サーバ６０から取得する（Ｓ４２０）。具体的には、鍵取得手段３１０は、以下に示す処理により、図３のＳ３１０において鍵発行機関サーバ６０により生成させた秘密鍵を取得してもよい。
【００４１】
まず、鍵取得手段３１０は、照会の対象となる個人情報の個人識別情報をキーとして、その個人情報を暗号化した公開鍵を、記憶装置２０から検索する。そして、鍵取得手段３１０は、検索した公開鍵を鍵発行機関サーバ６０に送る。鍵発行機関サーバ６０は、この公開鍵に対応する秘密鍵を鍵取得手段３１０に返送する。これにより、鍵取得手段３１０は、個人情報を復号するための秘密鍵を鍵発行機関サーバ６０から取得することができる。
【００４２】
続いて、復号手段３５０は、鍵取得手段３１０がＳ４２０において取得した秘密鍵skでプライバシーポリシー及び個人情報を復号する（Ｓ４３０）。復号の処理は、以下の式（４）で表される。本式において、Decryptは、暗号文を復号して個人情報を復元する関数を示し、具体的には、暗号化手段３２０により暗号化された個人情報及びプライバシーポリシーであるcipherを、鍵取得手段３１０が取得した秘密鍵skで復号した結果、個人情報及びプライバシーポリシーであるdata|policyを出力する。
data|policy=Decrypt(sk, cipher)   …式（４）
【００４３】
復号手段３５０は、復号した個人情報を、照会対象入力手段３４０により入力された個人情報と比較して（Ｓ４４０）、比較結果を、個人端末５０に出力する（Ｓ４５０）。これにより、照会指示の対象となる個人情報が、マーケティング等の目的で過去に利用されていた個人情報と相違していることを確認できれば、照会者に対して、不正利用の可能性が低いことを示すことができる。
【００４４】
また、復号手段３５０による比較対象は、個人情報の全部でなく一部であってもよい。例えば、復号手段３５０は、個人情報の一部である電子メールアドレスのみを比較して、比較結果を出力してもよい。これにより、自己の電子メールアドレスが不正使用されていないか否かの照会を受けた場合には、照会を受けた部分、即ち電子メールアドレスのみを比較してその結果を出力することができる。
【００４５】
これに代えて、復号手段３５０は、個人情報の一部である個人の住所を比較してもよいし、電話番号を比較してもよいし、生年月日を比較してもよいし、家族構成を比較してもよい。また、以上の処理に代えて、復号手段３５０は、復号した個人情報自体を、個人端末５０等に出力してもよいし、復号したプライバシーポリシーを、個人端末５０等に出力してもよい。
【００４６】
鍵取得手段３１０は、復号した個人情報を再度暗号化するべき指示を、プライバシーポリシー管理者から受けた場合に（Ｓ４６０：ＹＥＳ）、復号手段３５０により復号された暗号の公開鍵とは異なる他の公開鍵を鍵発行機関サーバ６０から取得する（Ｓ４７０）。なお、鍵取得手段３１０は、Ｓ４２０において秘密鍵を取得する時に、当該他の公開鍵を同時に鍵発行機関サーバ６０から取得しておいてもよい。
【００４７】
次に、暗号化手段３２０は、鍵取得手段３１０により取得された公開鍵により、個人情報を再度暗号化する（Ｓ４８０）。これにより、個人情報管理システム３０に対して既に開示された秘密鍵が不正に用いられることを回避して、再度暗号化した個人情報が不正に読み出されることを防ぐことができる。
【００４８】
以上、図１から図４で示したように、個人情報管理システム３０は、データ管理者である企業等の内部で利用される個人情報について、個人情報を利用してもよい期間が経過した場合に、個人情報利用者が個人情報を利用できないように暗号化する。これにより、プライバシーポリシーを適切に遵守させることができると共に、利用可能期間経過後における個人情報の不正使用等についての照会に対して、適切に対処することができる。
【００４９】
本例によると、情報処理システム１０は、個人情報を暗号化する毎に公開鍵を鍵発行機関サーバ６０から取得する。情報処理システム１０が一度に多くの個人情報を暗号化する場合には、情報処理システム１０が取得する公開鍵のサイズが大きいため、情報処理システム１０及び鍵発行機関サーバ６０間の通信量が大きくなり、通信コストの増大につながる恐れもある。このような通信量の増大を防止してより効率的な処理を行う変形例を、以下の図５から図７に示す。
【００５０】
図５は、変形例における情報処理システム１０のブロック図を示す。本例を用いて、個人情報管理システム３０が、他の方法により個人情報を暗号化する例を説明する。本例における個人情報管理システム３０は、図１に示す個人情報管理システム３０に、更に鍵生成手段３３０を備えた構成をとる。その他の構成は、図１に示す個人情報管理システム３０と略同一であるので、相違点を説明する。
【００５１】
鍵生成手段３３０は、個人情報により特定される個人を識別する個人識別情報を、記憶装置２０から取得する。そして、鍵生成手段３３０は、プライバシーポリシー管理者が復号鍵を管理しかつ個人情報利用者が復号鍵を管理していない暗号における暗号鍵を、取得した個人識別情報に基づいて生成する。そして、鍵取得手段３１０は、鍵生成手段３３０により生成された暗号鍵を鍵生成手段３３０から取得する。また、鍵取得手段３１０は、プライバシーポリシー管理者からの指示に応じて、照会の対象となる個人情報の個人識別情報に基づいて、個人情報を復号するための復号鍵を鍵発行機関サーバ６０から取得する。
【００５２】
暗号化手段３２０は、個人識別情報に基づくこの暗号鍵で、ＩＤに基づく暗号(IBE: Identity-based Encryption)により個人情報を暗号化する。これに代えて、暗号化手段３２０は、個人の名前又は電子メールアドレス等、個人の属性を示す情報を、ＩＤに基づく暗号の暗号鍵として用いてもよい。ここで、ＩＤに基づく暗号とは、個人の名称等、公開されている情報を暗号鍵として用いることができる暗号をいう。この暗号において、鍵発行機関サーバ６０のみが、復号鍵を生成することができる。そして、鍵発行機関サーバ６０は、プライバシーポリシー管理者又は個人端末５０の管理者にのみ復号鍵を開示する。
【００５３】
ここで、好ましくは、暗号化手段３２０は、同一の個人識別情報に対して複数の暗号鍵を生成するべく、個人識別情報にナンス（カウンターやタイムスタンプ等）を組み合わせた情報を、暗号鍵として用いる。この場合、暗号化手段３２０は、暗号文に対応付けて、その暗号文の暗号化に用いたナンスを記憶装置２０に更に格納する。
【００５４】
復号手段３５０は、プライバシーポリシー管理者からの指示に応じて、暗号化された個人情報を記憶装置２０から読み出させて、読み出させたその個人情報を復号鍵で復号し、復号したその個人情報と、照会対象入力手段３４０により入力された個人情報と比較して、比較結果を個人端末５０に出力する。
【００５５】
図６は、変形例において個人情報管理システム３０が個人情報を暗号化する処理の動作フローを示す。本図に示す動作フローは、図３に示す動作フローと略同一であるので、相違点を説明する。プライバシーポリシーにより規定される利用可能期間が経過する場合に（Ｓ３００：ＹＥＳ）、鍵生成手段３３０は、プライバシーポリシー管理者が復号鍵を管理しかつ個人情報利用者が復号鍵を管理していない暗号における暗号鍵を、個人識別情報に基づいて生成する（Ｓ６００）。そして、暗号化手段３２０は、個人識別情報に基づくこの暗号鍵で、ＩＤに基づく暗号により個人情報を暗号化し（Ｓ３２０）、プライバシーポリシーを更に暗号化する（Ｓ３３０）。
【００５６】
この暗号化の処理は、具体的には、以下の式（５）により表される。
cipher=IBEncrypt(sp, oid|did|mid|pid|c, data|policy)   …式（５）
本式において、IBEncryptは、ＩＤに基づく暗号の暗号化関数である。具体的には、IBEncryptは、鍵生成手段３３０により生成された暗号鍵であるoid|did|mid|pid|cにより、data|policyを暗号化した結果、cipherを出力する。また、spは、鍵発行機関サーバ６０により発行されるシステムパラメータである。また、cは、同一の個人識別情報に対して同一の暗号鍵となることを防ぐために使用されるナンス（カウンターやタイムスタンプ等）である。cは、暗号化を行う毎に異なることが望ましい。また、本変形例において、鍵発行機関サーバ６０は、暗号文の復号に必要なシステムパラメータ(sp)を、例えば定期的に変更する場合がある。この場合、鍵発行機関サーバ６０は、変更後のspを個人情報管理システム３０に通知するので、暗号化手段３２０は、通知を受けたspを用いて、個人情報を暗号化する。
【００５７】
そして、暗号化手段３２０は、個人情報及びプライバシーポリシーに代えて、暗号化された結果生じた暗号文を記憶装置２０に格納する。この際、好ましくは、暗号化手段３２０は、暗号文に対応付けて、個人情報により特定される個人の個人識別情報を更に記憶装置２０に格納する。例えば、暗号化手段３２０が記憶装置２０に格納するデータは、以下の式（６）で表される。
oid|did|mid|pid|c|cipher  …式（６）
【００５８】
図７は、変形例において個人情報管理システム３０が個人情報を復号する処理の動作フローを示す。本図に示す動作フローは、図４に示す動作フローと略同一であるので、相違点を説明する。復号指示を受け付けた場合に（Ｓ４１０：ＹＥＳ）、鍵取得手段３１０は、以下に示す処理により、ＩＤに基づく暗号の復号鍵を鍵発行機関サーバ６０から取得する（Ｓ７００）。
【００５９】
まず、鍵取得手段３１０は、照会の対象となる個人情報の個人識別情報を記憶装置２０から取得する。そして、鍵取得手段３１０は、取得した個人識別情報を鍵発行機関サーバ６０に送る。鍵発行機関サーバ６０は、ＩＤに基づく暗号における、この個人識別情報に基づく復号鍵を生成して鍵取得手段３１０に返送する。これにより、鍵取得手段３１０は、個人情報を復号するための復号鍵を鍵発行機関サーバ６０から取得することができる。
【００６０】
例えば、鍵発行機関サーバ６０が復号鍵を生成する処理は、以下の式（７）で表される。ここで、IBSKGenは、ＩＤに基づく暗号において、暗号鍵から復号鍵を生成する関数を示し、skは、生成された復号鍵を示す。
sk=IBSKGen(oid|did|mid|pid|c)   …式（７）
【００６１】
復号手段３５０は、プライバシーポリシー管理者からの指示に応じて、暗号化された個人情報又はプライバシーポリシーを記憶装置２０から読み出し、読み出したその個人情報又はプライバシーポリシーを復号鍵で復号する（Ｓ４３０）。この処理は、例えば、以下の式（８）で表される。ここで、skは、鍵取得手段３１０により鍵発行機関サーバ６０から取得された復号鍵を示す。
data|policy=IBDecrypt(sp, sk, cipher)   …式（８）
【００６２】
ここで、暗号化した時に用いたspと、復号する時点で鍵発行機関サーバ６０により通知されているspが異なっている場合がある。この場合、鍵取得手段３１０は、暗号化した時に用いたspを鍵発行機関サーバ６０に対して送信することにより、このspに対応する適切な復号鍵を取得することが必要である。
【００６３】
Ｓ４４０からＳ４６０までの処理は、図４に示す同一符号の処理と略同一であるので説明を省略する。鍵生成手段３３０は、復号した個人情報を再度暗号化するべき指示を、プライバシーポリシー管理者から受けた場合に（Ｓ４６０：ＹＥＳ）、復号手段３５０により復号された暗号の暗号鍵とは異なる他の暗号鍵を生成する（Ｓ７１０）。具体的には、鍵生成手段３３０は、暗号鍵の生成に用いた個人識別情報である「oid|did|mid|pid|c」のうち、ナンス「c」の値を変更することにより、復号手段３５０により復号された暗号の暗号鍵とは異なる他の暗号鍵を生成する。
これにより、個人情報管理システム３０に対して既に開示された秘密鍵が不正に利用されることを回避して、再度暗号化した個人情報が不正に読み出されることを防ぐことができる。
【００６４】
以上、本変形例によっても、図１から図４に示した実施例と同様、個人情報管理システム３０は、個人情報をその利用可能期間にのみ利用させることができると共に、利用可能期間経過後であっても、個人情報に関する照会に対して適切に対処させることができる。更に、図１から図４に示した実施例と異なり、個人情報管理システム３０は、公開鍵暗号系の公開鍵を鍵発行機関サーバ６０から受信する必要がない。これにより、個人情報管理システム３０は、鍵発行機関サーバ６０との間の通信コストを低減して、プライバシーポリシーの執行を効率的に行うことができる。
【００６５】
図８は、個人情報管理システム３０を実現するコンピュータ５００のハードウェア構成の一例を示す。コンピュータ５００は、ホストコントローラ８８２により相互に接続されるＣＰＵ８００、ＲＡＭ８２０、グラフィックコントローラ８７５、及び表示装置８８０を有するＣＰＵ周辺部と、入出力コントローラ８８４によりホストコントローラ８８２に接続される通信インターフェイス８３０、ハードディスクドライブ８４０、及びＣＤ−ＲＯＭドライブ８６０を有する入出力部と、入出力コントローラ８８４に接続されるＲＯＭ８１０、フレキシブルディスクドライブ８５０、及び入出力チップ８７０を有するレガシー入出力部とを備える。
【００６６】
ホストコントローラ８８２は、ＲＡＭ８２０と、高い転送レートでＲＡＭ８２０をアクセスするＣＰＵ８００及びグラフィックコントローラ８７５とを接続する。ＣＰＵ８００は、ＲＯＭ８１０及びＲＡＭ８２０に格納されたプログラムに基づいて動作し、各部の制御を行う。グラフィックコントローラ８７５は、ＣＰＵ８００等がＲＡＭ８２０内に設けたフレームバッファ上に生成する画像データを取得し、表示装置８８０上に表示させる。これに代えて、グラフィックコントローラ８７５は、ＣＰＵ８００等が生成する画像データを格納するフレームバッファを、内部に含んでもよい。
【００６７】
入出力コントローラ８８４は、ホストコントローラ８８２と、比較的高速な入出力装置である通信インターフェイス８３０、ハードディスクドライブ８４０、及びＣＤ−ＲＯＭドライブ８６０を接続する。通信インターフェイス８３０は、ネットワークを介して外部の装置と接続する。ハードディスクドライブ８４０は、コンピュータ５００が使用するプログラム及びデータを格納する。ＣＤ−ＲＯＭドライブ８６０は、ＣＤ−ＲＯＭ８９５からプログラム又はデータを読み取り、ＲＡＭ８２０を介して入出力チップ８７０に提供する。
【００６８】
また、入出力コントローラ８８４には、ＲＯＭ８１０と、フレキシブルディスクドライブ８５０や入出力チップ８７０等の比較的低速な入出力装置とが接続される。ＲＯＭ８１０は、コンピュータ５００の起動時にＣＰＵ８００が実行するブートプログラムや、コンピュータ５００のハードウェアに依存するプログラム等を格納する。フレキシブルディスクドライブ８５０は、フレキシブルディスク８９０からプログラム又はデータを読み取り、ＲＡＭ８２０を介して入出力チップ８７０に提供する。入出力チップ８７０は、フレキシブルディスク８９０や、例えばパラレルポート、シリアルポート、キーボードポート、マウスポート等を介して各種の入出力装置を接続する。
【００６９】
コンピュータ５００に提供されるプログラムは、フレキシブルディスク８９０、ＣＤ−ＲＯＭ８９５、又はＩＣカード等の記録媒体に格納されて利用者によって提供される。プログラムは、入出力チップ８７０及び／又は入出力コントローラ８８４を介して、記録媒体から読み出されコンピュータ５００にインストールされて実行される。
【００７０】
コンピュータ５００にインストールされて実行されるプログラムは、管理モジュールと、鍵取得モジュールと、暗号化モジュールと、照会対象入力モジュールと、復号モジュールと、鍵生成モジュールとを含む。各モジュールがコンピュータ５００に働きかけて行わせる動作は、図１から図７において説明した個人情報管理システム３０における、対応する部材の動作と同一であるので、説明を省略する。
【００７１】
以上に示したプログラムは、外部の記憶媒体に格納されてもよい。記憶媒体としては、フレキシブルディスク８９０、ＣＤ−ＲＯＭ８９５の他に、ＤＶＤやＰＤ等の光学記録媒体、ＭＤ等の光磁気記録媒体、テープ媒体、ＩＣカード等の半導体メモリ等を用いることができる。また、専用通信ネットワークやインターネットに接続されたサーバシステムに設けたハードディスク又はＲＡＭ等の記憶装置を記録媒体として使用し、ネットワークを介してプログラムをコンピュータ５００に提供してもよい。
【００７２】
以上で示したように、個人情報管理システム３０は、記憶装置２０に格納された個人情報について、個人情報を利用してもよい利用可能期間が経過する場合に、個人情報を消去するのに代えて、個人情報利用者がその個人情報を利用できないように暗号化する。これにより、個人情報を擬似的に消去して、個人情報をその利用可能期間にのみ利用させることができると共に、利用可能期間経過後であっても、個人情報に関する照会に対して適切に対処させることができる。
【００７３】
以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。その様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。
【００７４】
以上に示す実施例及び変形例によると、以下の各項目に示す個人情報管理システム、情報処理システム、個人情報管理方法、プログラム、及び記録媒体が実現される。
【００７５】
（項目１）  記憶装置に格納された個人情報の利用を制限する個人情報管理システムであって、前記個人情報の利用者が前記個人情報を利用してもよい予め定められた利用可能期間について、当該利用可能期間を規定した情報であるプライバシーポリシーを、個人情報毎に管理する管理手段と、前記プライバシーポリシーの管理者が復号でき、かつ前記個人情報の利用者が復号できない暗号の暗号鍵を取得する鍵取得手段と、前記プライバシーポリシーにより規定された利用可能期間が経過する場合に、前記鍵取得手段により取得された前記暗号鍵で、前記利用者が利用できないように前記個人情報を暗号化する暗号化手段とを備える個人情報管理システム。
（項目２）  前記管理手段は、前記プライバシーポリシーを、前記個人情報に対応付けて前記記憶装置に格納することにより管理し、前記暗号化手段は、前記プライバシーポリシーにより規定された利用可能期間が経過する場合に、前記暗号鍵により、更に前記プライバシーポリシーを暗号化し、暗号化した当該プライバシーポリシーに対応する前記個人情報の一部を削除する項目１記載の個人情報管理システム。
（項目３）  前記鍵取得手段は、前記管理者が秘密鍵を管理し、かつ前記利用者が前記秘密鍵を管理していない、公開鍵暗号系の公開鍵を前記暗号鍵として取得し、前記暗号化手段は、前記公開鍵により前記個人情報を暗号化する項目１記載の個人情報管理システム。
【００７６】
（項目４）  前記鍵取得手段は、暗号化するべき個人情報毎に異なる公開鍵を取得し、前記暗号化手段は、前記個人情報を、前記個人情報毎に異なる前記公開鍵で暗号化する項目３記載の個人情報管理システム。
（項目５）  前記管理者からの指示を受けて前記個人情報を復号する復号手段を更に備え、前記鍵取得手段は、復号した当該個人情報を再度暗号化すべき指示を前記管理者から受けた場合に、前記復号手段により復号された暗号の公開鍵とは異なる公開鍵を取得し、前記暗号化手段は、前記鍵取得手段により取得された前記公開鍵により、当該個人情報を再度暗号化する項目３記載の個人情報管理システム。
（項目６）  前記管理者が復号鍵を管理しかつ前記利用者が復号鍵を管理していない暗号における暗号鍵を、前記個人情報により特定される個人を識別する個人識別情報に基づいて生成する鍵生成手段を更に備え、前記鍵取得手段は、前記鍵生成手段により生成された前記暗号鍵を取得し、前記暗号化手段は、前記個人識別情報に基づく前記暗号鍵で、ＩＤに基づく暗号(IBE: Identity-based Encryption)により前記個人情報を暗号化する項目１記載の個人情報管理システム。
【００７７】
（項目７）  一の個人情報が不正に利用されているか否か照会する指示を、当該一の個人情報と共に受け付ける照会対象入力手段と、記憶装置に暗号化されて格納されている個人情報を、前記管理者からの指示を受けて復号し、前記照会対象入力手段により入力された個人情報と比較して、比較結果を出力する復号手段とを更に備える項目１記載の個人情報管理システム。
（項目８）  前記暗号化手段は、前記個人情報を暗号化した場合に、更に、前記個人情報を暗号化した旨を、暗号化した当該個人情報により特定される個人の端末に対して出力する項目１記載の個人情報管理システム。
（項目９）  記憶装置に格納された個人情報の利用を制限する個人情報管理システムと、前記記憶装置に格納された前記個人情報を利用する利用者の利用者端末とを備えた情報処理システムであって、前記個人情報管理システムは、前記個人情報の利用者が前記個人情報を利用してもよい予め定められた利用可能期間について、当該利用可能期間を規定した情報であるプライバシーポリシーを、個人情報毎に管理する管理手段と、前記プライバシーポリシーの管理者が復号でき、かつ前記個人情報の利用者が復号できない暗号の暗号鍵を取得する鍵取得手段と、前記プライバシーポリシーにより規定された利用可能期間が経過する場合に、前記鍵取得手段により取得された前記暗号鍵で、前記利用者が利用できないように前記個人情報を暗号化する暗号化手段とを有し、前記利用者端末は、前記プライバシーポリシーにより規定される利用可能期間内に、前記利用者の指示に基づいて、前記個人情報を読み出して利用する情報処理システム。
【００７８】
（項目１０）  前記記憶装置は、複数の個人情報を格納し、前記利用者端末は、前記複数の個人情報のうち、前記暗号化手段により暗号化されていない複数の個人情報を前記記憶装置から読み出して、当該複数の個人情報の統計データを生成することにより、個人情報を利用する項目９記載の情報処理システム。
（項目１１）  前記個人情報は、電子メールアドレスを含み、前記利用者端末は、前記暗号化手段により暗号化されていない個人情報を前記記憶装置から読み出して、当該個人情報に含まれる前記電子メールアドレスに対して広告用電子メールを送信することにより、個人情報を利用する項目９記載の情報処理システム。
（項目１２）  コンピュータの記憶装置に格納された個人情報の利用を制限する個人情報管理方法であって、前記コンピュータが、前記個人情報の利用者が前記個人情報を利用してもよい予め定められた利用可能期間について、当該利用可能期間を規定した情報であるプライバシーポリシーを、個人情報毎に管理する管理段階と、前記コンピュータが、前記プライバシーポリシーの管理者が復号でき、かつ前記個人情報の利用者が復号できない暗号の暗号鍵を取得する鍵取得段階と、前記コンピュータが、前記プライバシーポリシーにより規定された利用可能期間が経過する場合に、前記鍵取得段階において取得された前記暗号鍵で、前記利用者が利用できないように前記個人情報を暗号化する暗号化段階とを備える個人情報管理方法。
【００７９】
（項目１３）  コンピュータを、記憶装置に格納された個人情報の利用を制限する個人情報管理システムとして機能させるプログラムであって、前記コンピュータを、前記個人情報の利用者が前記個人情報を利用してもよい予め定められた利用可能期間について、当該利用可能期間を規定した情報であるプライバシーポリシーを、個人情報毎に管理する管理手段と、前記プライバシーポリシーの管理者が復号でき、かつ前記個人情報の利用者が復号できない暗号の暗号鍵を取得する鍵取得手段と、前記プライバシーポリシーにより規定された利用可能期間が経過する場合に、前記鍵取得手段により取得された前記暗号鍵で、前記利用者が利用できないように前記個人情報を暗号化する暗号化手段として機能させるプログラム。
（項目１４）  項目１３に記載のプログラムを記録した記録媒体。
【図面の簡単な説明】
【００８０】
【図１】図１は、情報処理システム１０のブロック図を示す。
【図２】図２は、利用者端末４０−１が個人情報を利用する処理の一例を示す。
【図３】図３は、個人情報管理システム３０が個人情報を暗号化する処理の動作フローを示す。
【図４】図４は、個人情報管理システム３０が個人情報を復号する処理の動作フローを示す。
【図５】図５は、変形例における情報処理システム１０のブロック図を示す。
【図６】図６は、変形例において個人情報管理システム３０が個人情報を暗号化する処理の動作フローを示す。
【図７】図７は、変形例において個人情報管理システム３０が個人情報を復号する処理の動作フローを示す。
【図８】図８は、個人情報管理システム３０を実現するコンピュータ５００のハードウェア構成の一例を示す。
【符号の説明】
【００８１】
１０  情報処理システム
２０  記憶装置
３０  個人情報管理システム
４０  利用者端末
５０  個人端末
６０  鍵発行機関サーバ
３００  管理手段
３１０  鍵取得手段
３２０  暗号化手段
３３０  鍵生成手段
３４０  照会対象入力手段
３５０  復号手段
５００  コンピュータ
【図１】
2005135131.tif 000003
【図２】
2005135131.tif 000004
【図３】
2005135131.tif 000005
【図４】
2005135131.tif 000006
【図５】
2005135131.tif 000007
【図６】
2005135131.tif 000008
【図７】
2005135131.tif 000009
【図８】
2005135131.tif 000010